Configuración de DHCP Snooping y Port Security en Switches Cisco: Protección de la Red paso a paso

Configuración del snooping DHCP

Habilitamos DHCP snooping en el switch y le indicamos qué interfaz o interfaces son confiables:

(config)# ip dhcp snooping   habilitamos snooping

(config)# interface gi0/1

(config-if)# ip dhcp snooping trust   indicamos que esa interfaz es confiable

Configuración de seguridad

Deshabilitar interfaces no utilizadas

Deshabilitamos todas las interfaces que no estén en uso:

(config)# interface range fa0/1 - 3, fa0/5, fa0/7-X

(config-if)# shutdown

Configuración de cada interfaz habilitada

Configuramos cada interfaz habilitada siguiendo estos pasos:

1. Habilitar la seguridad en el puerto

(config-if)# switchport port-security

2. Límite de direcciones MAC

¿Nos pide configurar un límite de MAC?

(config-if)# switchport port-security maximum X

3. Dirección MAC estática

¿Nos pide asignar una MAC estática?

(config-if)# switchport port-security mac-address dir_mac

4. Recordar las MAC en la configuración actual (sticky)

¿Nos pide que las MAC se recuerden en el running-config?

(config-if)# switchport port-security mac-address sticky

5. Forma de actuar ante una violación

(config-if)# switchport port-security violation opción

Donde opción puede ser:

• protect: descarta los paquetes de direcciones desconocidas.
• restrict: descarta los paquetes de direcciones desconocidas y avisa al administrador.
• shutdown: deshabilita la interfaz.

Listas de control de acceso (ACL)

Estructura general de una entrada de ACL:

ACTUACIÓN / PROTOCOLO / IP.ORIGEN / WC.ORIGEN / PUERTO.ORIGEN / IP.DESTINO / WC.DESTINO / PUERTO.DESTINO / ROUTER / INTERFAZ

¿Hemos utilizado protocolos o puertos?

• Sí: ACL extendida.
• No: ¿El destino es toda una red?
  • Sí: ACL estándar.
  • No: ACL extendida.

Nota: en las ACL extendidas, el protocolo es obligatorio.

ACL estándar

Se coloca cerca del destino, pero se especifica el origen:

(config)# ip access-list standard nº_dado

(config-std-nacl)# permit ip_origen wc_origen

(config-std-nacl)# deny any   denegación

(config-std-nacl)# exit

(config)# interface interfaz

(config-if)# ip access-group nº_dado in/out

ACL extendida

Se coloca cerca del origen, pero se especifica el destino:

(config)# ip access-list extended nº_dado

(config-ext-nacl)# permit protocolo ip_origen wc_origen ip_destino wc_destino eq puerto_destino

(config-ext-nacl)# deny tcp any any   denegación

(config-ext-nacl)# exit

(config)# interface interfaz

(config-if)# ip access-group nº_dado in/out